Microsoft Patch Day: Vier Flicken im Mai

Auch diesen Monat ist Office wieder mit zwei Lücken vertreten, beide kritisch. Besonders brisant ist die erste, da sie beispielsweise sich über den Preview-Modus von Outlook 2007 ausnutzen lässt.

Die Lücke in der Malware Protection Engine betrifft eine Reihe von Sicherheits-Produkten, wie beispielsweise Live One Care, Windows Defender, Antigen und Forefront Security.

Jeden zweiten Dienstag im Monat ist Microsoft Patch Day. An diesem Tag veröffentlicht der Software-Gigant aus Redmond eine Liste entdeckter Bugs samt zugehöriger Fixes. Durch einen festen Monatsrhythmus möchte man Systemadministratoren das Leben erleichtern und die Updates zu einer planbaren Größe im IT-Management machen.

MS08-026: Code-Ausführung über Microsoft Word

Dieser Patch behebt zwei Lücken in Microsoft Word, die ein Angreifer ausnutzen kann, um beliebigen Code auf dem System des Opfers auszuführen. Die erste Lücke betrifft mal wieder den bereits hinlänglich bekannten Objekt-Parser. Dieser berechnet unter Umständen die benötigte Speichergröße beim Öffnen von RTF- oder HTML-Dokumenten nicht korrekt, so dass Systemspeicher überschrieben wird.

Da beispielsweise Outlook 2007 per Default Word als Editor und Viewer verwendet, muss der Angreifer einem solchen Benutzer lediglich eine speziell präparierte Email schicken. Ein Betrachten im Preview-Modus reicht schon aus.

Die zweite Lücke betrifft die Verarbeitung von CSS-Informationen in Word-Dokumenten. Auch hier kann beim Betrachten eines speziell präparierten Word-Dokuments Systemspeicher überschrieben werden.